{"id":182333,"date":"2026-06-27T20:48:06","date_gmt":"2026-06-27T18:48:06","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org"},"modified":"2026-06-27T20:48:06","modified_gmt":"2026-06-27T18:48:06","slug":"bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/news\/bresh-v-infrastrukture-python-pozvolyavshaya-podmenit-ssylki-na-relizy-na-sajte-python-org","title":{"rendered":"Vulnerabilidad en la infraestructura de Python que permit\u00eda reemplazar enlaces a versiones en el sitio python.org","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
La Python Software Foundation ha revelado informaci\u00f3n sobre una vulnerabilidad cr\u00edtica en la API de gesti\u00f3n de lanzamientos, que podr\u00eda ser utilizada para atacar la infraestructura del proyecto Python. La vulnerabilidad permit\u00eda eludir el sistema de autenticaci\u00f3n y conectarse a la API de gesti\u00f3n de lanzamientos con derechos de administrador mediante el env\u00edo de una solicitud con cualquier clave e indicando uno de los administradores en el campo del nombre de usuario. <\/p>\n
Los derechos obtenidos en caso de explotaci\u00f3n exitosa de la vulnerabilidad otorgaban al atacante la posibilidad de modificar los enlaces de los lanzamientos de Python y los metadatos para verificar la correcci\u00f3n de los archivos subidos, alojados en la p\u00e1gina python.org\/downloads. Sin embargo, la vulnerabilidad no permit\u00eda modificar el contenido de los archivos existentes con los lanzamientos. <\/p>\n
La auditor\u00eda de la base de datos y los registros no revel\u00f3 signos de explotaci\u00f3n de la vulnerabilidad. Tambi\u00e9n se supone que la sustituci\u00f3n de los enlaces a los lanzamientos no pudo pasar desapercibida, ya que muchos proveedores durante la carga utilizan adicionalmente un sistema de verificaci\u00f3n criptogr\u00e1fica de c\u00f3digo Sigstore y comprobaci\u00f3n utilizando claves PGP.<\/p>\n
La vulnerabilidad estuvo presente en el c\u00f3digo desde 2014 y fue causada por la mezcla en un solo c\u00f3digo de los controladores para accesos como invitados y la autenticaci\u00f3n por claves para la API. En caso de fallo de la autenticaci\u00f3n por clave para acceder a la API, el c\u00f3digo realizaba un retroceso para utilizar el acceso de invitado. <\/p>\n
La vulnerabilidad fue identificada el 23 de febrero y corregida al d\u00eda siguiente, tras lo cual se realizaron varias verificaciones de integridad de la infraestructura: el 25 de febrero se analizaron los registros y las copias de seguridad de la base de datos, todos los recursos disponibles para descarga fueron verificados utilizando firmas digitales del registro de Sigstore y claves PGP, y se llev\u00f3 a cabo una auditor\u00eda de la base de c\u00f3digo de los servicios utilizados. El 23 de abril, la base de c\u00f3digo fue revisada adicionalmente con herramientas de IA, y el 1 de junio, se contrat\u00f3 a la empresa Trail of Bits para una auditor\u00eda externa de la infraestructura python.org y los procesos de generaci\u00f3n de lanzamientos de Python. \n Fuente: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"